PT-2026-77168
CVE-2026-15806
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Python (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تفشل فئة
HTTPPasswordMgr في وحدة urllib.request، بما في ذلك فئاتها الفرعية HTTPPasswordMgrWithDefaultRealm وHTTPPasswordMgrWithPriorAuth، في أخذ نظام عناوين URL في الاعتبار عند مطابقة بيانات الاعتماد المخزنة مع عنوان URL المطلوب. وهذا يسمح بإرسال بيانات الاعتماد المخصصة لـ https:// عبر http:// إذا تمكن المهاجم من إعادة توجيه اتصال العميل أو تخفيض مستواه، مما قد يؤدي إلى الاستيلاء على بيانات الاعتماد بنص عادي. وعلى العكس، يمكن إرسال بيانات الاعتماد الخاصة بـ http:// عبر https://. أصبحت مطابقة بيانات الاعتماد الآن مقيدة بنظام عناوين URL، مما يعني أن بيانات الاعتماد المسجلة بنظام معين تُستخدم فقط للطلبات التي تستخدم نفس النظام، في حين تظل تلك المسجلة بسلطة عارية متوافقة مع أي نظام.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
تأكد من أن التطبيقات لا ترسل طلبات
http:// عادية إلى المضيفات التي تم تسجيل بيانات الاعتماد الخاصة بها، مثل تعطيل متابعة عمليات إعادة التوجيه إلى عناوين URL التي تبدأ بـ http://.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾